Totolink A7100RU cstecgi.cgi setDdnsCfg osコマンドインジェクション

Totolink A7100RUルーター（バージョン7.4cu.2313_b20191024）において、ファイル/cgi-bin/cstecgi.cgi内の関数setDdnsCfgにおいてセキュリティ脆弱性が検出されました。この脆弱性は、provider引数の操作を通じてオペレーティングシステムのコマンドインジェクションを可能にします。リモートの攻撃者は、この欠陥を利用してデバイス上で任意のコマンドを実行し、接続されているネットワークを潜在的に侵害する可能性があります。この脆弱性の深刻度はCVSS 7.3と評価されており、重大なリスクを示しています。エクスプロイトの公開により、アクティブな攻撃のリスクが高まります。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A7100RU router are at significant risk. Specifically, those with default router configurations or those who have not updated their firmware are particularly vulnerable. Shared hosting environments utilizing this router model also face increased exposure.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• generic web:

curl -s -X POST 'http://<router_ip>/cgi-bin/cstecgi.cgi?action=setDdnsCfg&provider=;id;ls' | grep 'ls'

• linux / server:

ps aux | grep cstecgi | grep -i 'id'

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-06
3. 更新日2026-04-08
4. EPSS 更新日2026-04-14

現在、Totolinkは、この脆弱性に対する公式な修正プログラムを提供していません。最も効果的な軽減策は、利用可能になり次第、パッチが適用されたバージョンにファームウェアを更新することです。その間は、デフォルトのルーターパスワードの変更、管理インターフェースへのリモートアクセスの無効化、信頼できるデバイスへのネットワークアクセスの制限など、予防措置を講じることをお勧めします。不審なアクティビティを監視して、潜在的な攻撃を検出し、対応することも役立ちます。Totolinkに連絡して、今後のセキュリティアップデートに関する情報を得ることをお勧めします。